În funcție de implementare, regulile pot examina adresele sursă și destinație, numerele de protocol, porturile de transport, direcția sau alte câmpuri de antet. ACL-urile pot fi aplicate pe routere, switch-uri, gazde, rețele virtuale și frontiere de rețele cloud.
Regulile sunt evaluate în mod obișnuit după o ordine sau prioritate definită, cu o acțiune implicită documentată când nicio regulă nu se potrivește. Multe ACL-uri de rețea filtrează pachete fără a urmări starea conexiunii, în timp ce unele platforme folosesc aceeași etichetă pentru controale stateful. Proiectanții trebuie prin urmare să verifice evaluarea reală, comportamentul traficului de întoarcere, jurnalizarea, fragmentarea și comportamentul IPv4/IPv6.
Puncte esențiale
Baza politiciiPorniți de la fluxurile necesare și exprimați cea mai îngustă sursă, destinație, protocol, port și direcție care le susține.
AmplasareAplicați reguli la frontiere utile, țineți cont de căi alternative și păstrați dirijarea, NAT-ul și controalele la nivel de sarcină de lucru coerente cu politica intenționată.
OperațiuniAtribuiți proprietate, documentați scopul și expirarea, revizuiți jurnalele de potriviri și respingeri, testați modificările de reguli și eliminați intrările învechite sau acoperite.
Limitare importantăUn ACL vede de regulă metadate de rețea limitate, nu intenția utilizatorului sau comportamentul complet al aplicației. Reutilizarea adreselor, spoofing-ul, încărcăturile criptate, greșelile de ordonare a regulilor și căile de ocolire pot slăbi rezultatul așteptat.